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NOTIFICATION CONCERNANT LA 
TRANSMISSION DE DOCUMENTS 



Date d'expedrtion (jour/mois/annee) 

19 juillet 2001 (19.07.01) 



Destinataire: 

Commissioner 

US Department of Commerce 
United States Patent and Trademark 
Office, PCT 

2011 South Clark Place Room 
CP2/5C24 

Arlington, VA 22202 
ETATS-UNIS D'AMERIQUE 

en sa qua lite d' office designe 



Demande intemationale no 
PCT/FR99/02979 



Date du depot international 

01 d§cembre 1999 (01.12.99) 



Deposant 

COMMISSARIAT A L'ENERGIE ATOMIQUE etc 



RECEIVED 

OCT 0 1 2001 
Technology Center 2100 



Le Bureau international transmet ci-joint te nombre de copies indique ci-apres des documents suivants: 
copie(s) du (des) document(s) de priorrtS (regie 17.2.a)) 



c0 BBHOTEO 



Bureau international de I'OMPI 


Fonctionnatre autorise 








34, chemin des Colombettes 


Jocelyne Rey-Millet 




1211 Geneve 20, Suisse 




no de telecopies: (41-22) 740.14.35 


no de telephone: (41-22) 338.83.38 
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PCT~ 

REQUETE 



Le soussigne" requiert que la prdsente demaii 
intemationale^i^teh^jccy^^ 





Reserve* a V office recepteur 



Demande internationale n° 



Date du dgpot international 



Nom de 1 'office recepteur et "Demande internationale PCT' 



ReTeYence du dossier du deposant ou du mandataire (facultatij) 
(12 caracteres au maximum) PCT 385S7BC 



Cadre n'. I . TrjRE DEJ,' INVENTION . 

Terminal securise muni cfun lecteur de carte k puce destine a communiquer avec un 
serveur via un r6seau de type internet. 


Cadre n* II DEPOSANT 


Nom et adresse : (Nom de famille suivi du prenom; pour une personne morale, designation 
qfficielle complete. L 'adresse doit comprendre le code postal et le nom du pays. Le pays de 
I adresse indiquee dans ce cadre est I 'Etat oii le deposant a son domicile si aucun domicile 
n 'est indique ci-dessous.) 

BULL CP8 

68, route de Versailles 
BP 45 

78430 LOUVECIENNES 
FRANCE 


I I Cette personne est aussi 
■ ■ inventeur. 


n° de teldphone 

(33) 1 39.66.61.76 


n° de t£l£copieur 

(33) 1 39.66.61.73 


n° de teldimprimeur 


Nationalitd (nom de PEtat) : FRANCE 


Domicile (nom de PEtat) : pp^NCE 


Cette personne est | 1 tousles Etats X~ l lous.les Etats designessauf r~" ~1 Ics Etats-Unis d'Amdrique i i les Etats indiquds dans 

ddposant pour : I 1 designed IX 1 les Etats-Unis d*Am£rique | | seulcment | | le cadre suppl erne nta ire 


Cadre n° III AUTRE(S) DEPOSANT(S) OU (AUTRE(S)) INVENTEUR(S) 


Nom et adresse : (Nom de.famille suivi du prenom; pour une personne morale, designation 
qfftcielle complete. L adresse doit comprendre le code postal et le nom dupays. Le pays de 
I adresse indiquee dans ce cadre est / 'Etat oil le deposant a son domicile si aucun domicile 
n 'est indique ci-dessous.) 

MARIANA Renaud 
5 Square Las Cases 
78150 LECHESNAY 
FRANCE 


Cette personne est : 

| | dgposant seulement 

|y | deposant et inventeur 

| | inventeur seulement 
(Si cette case est cochee. 
ne pas remplir la suite.) 


Nationality (nom de PEtat) : FRANCE 


Domicile (nom de PEtat) : 

FRANCE 


Cette personne est | 1 touslesEtats ' I | tousles Etats designed sauf f— i les Etats-Unis d'Amerique | i les Etats indique^ dans 

deposant pour : I I d£sign£s [ I les Etats-Unis d'Amerique IX I seulement | | le cadre supplemental 


| | D'autres ddposants ou inventeurs sont rndiquds sur une feuille annexe. 


Cadre n° IV MANDATAIRE OU REPRESENTANT COMMUN; OU ADRESSE POUR LA CORRESPONDANCE 


I .a personne dont I ' identite est donnee ci-dessous esi/a 616 design6e pour agir au num du ou y man dataire I I repr6sentant commun 
desd6posants aupresdes autoritds Internationales comp&entes, comme: \£±J I — I 


Nom et adresse : (Nom de famille suivi du prenom; pour une personne morale, designation officielle 
complete. L 'adresse doit comprendre le code postal et le nom du pays J 

BULL S.A 
CORLU Bernard 

PC58D20 / 68, route de Versailles 

F- 78434 LOUVECIENNES Cedex (FRANCE) 


n° de telephone 

(S3) 1 SQ fifi R1 7fi 


n° de telecopieur 

(33) 1 39.66.61.73 


n° de tel6imprimeur 


l — | Adresse pour la correspond a nee : cocher cette case lorsque aucun mandataire ni representant commun n*est/n*a 6x6 d&igne* 
I I et que Pespace ci-dessus est utilise* pour indiquer une adresse spdciale a laquelle la correspondance doit 6tre envcyce. 



FormulairePCTYRO/IOl (premiere feuille) (juiHet 1998; ^impression janvier 2000) 



Voir les notes relatives au formulaire de requite 



Cadre n° V DESIGNATION D'ETATS 



4* 



Feuille n° 



une au moins doit I etre) : 



Les designations suivantes sont Yaites conformement a la regie 4.9.a) (cocher les cases appropriees, 
Brevet regional 

□ AP Brevet ARIPO : GH Ghana, GM Gambie, KE Kenya, L,S Lesotho, MAV Malawi, SD Soudan, SL Sierra Leone 

SZ Swaziland, TZ Repubiique-Unie de Tanzanie, UG Ouganda, ZW Zimbabwe el tout autre Etat qui est un Etat contractant du 
Prolocole de Harare et du PCT 

□ EA Brevet eurasien : AM Armenie, AZ Azerbaidjan, BY Belarus, KG Kirghizistan, KZ Kazakhstan, MD Republique de Moldova, 

RU Federation de Russie, TJ Tadjikistan, TM Turkmenistan et tout autre Etat qui est un Etat contractant de la Convention sur 
le brevet eurasien et du PCT 

EP Brevet europeen : AT Autriche, BE Belgique, CH et LI Suisse et Liechtenstein, CY Chypre, DE Allemagne, 
DK Danemark, ES Espagne, FI Finlande, FR France, GB Royaume-Uni, GR Grece, IE ,Irlande, IT Italic] 
LU Luxembourg, MC Monaco, NL Pays-Bas, PT Portugal, SE Suede et tout autre Etat qui est un Etat contractant de la 
Convention sur le brevet europeen et du PCT 

□ OA Brevet OAPI : BF Burkina Faso, BJ Benin, CF Republiq ue centrafricaine, CG Congo, CI Cote d'lvoire, 

CM Cameroun, GA Gabon, GN Guinee, GW Guinee-Bissau, ML Mali, MR Mauritanie, NE Niger, SN Seagal,' 
TD Tchad, TG Togo et tout autre Etat qui est un Etat membre de I'OAPI et un Etat contractant du PCT (si une outre forme 

de protection ou de traitement est souhaitee, le precisersur la ligne pointillee) 

Brevet national^; une autre forme de protection ou de traitement est souhaitee, le preciser sur la ligne pointillee) : 



□ AE Emirats arabes unis □ LR 

□ AL Albanie □ LS 

□ AM Armenie □ LT 

□ AT Autriche □ LU 

AU Austral ie □ LV 

□ AZ Azerba'idjan □ MA 
l~1 BA Bosnie-Herzegovine O MD 

□ BB Barbade □ MG 

□ BG Bulgarie . / □ MK 

□ BR Bresil 

□ BY Belarus □ 

□ CA Canada □ 
CH et LI Suisse et Liechtenstein Q 
CN Chine . . .' □ 

Costa Rica □ 

Cuba □ 

Republique tcheque D 



Liberia 

Lesotho . . . : 

Lituanie 

Luxembourg 

Lettonie 

Maroc 

Republique de Moldova . . 

Madagascar 

Ex-Republique yougoslave 



de Macedoine 



□ CR 

□ CU 

□ CZ 

□ DE Allemagne □ 

□ DK Danemark ; 

O DM Dominique 

□ EE Estonie 1 

□ ES Espagne 

□ FI Finlande 

□ GB Royaume-Uni 

□ GD Grenade 

□ GE G^orgie 

□ GH Ghana 

□ GM Gambie 

□ HR Croatie 

□ HU Hongrie .-. :-. 

□ ID Indonesie 

□ IL Israel 

□ IN Inde 

□ IS Islande 
JP Japon 

□ KE Kenya 

□ KG Kirghizistan 

□ KP Republique populaire ddmocratique de Corde 



NZ 
PL 
PT 
RO 
RU 
SD 
SE 



□ 
□ 
□ 

□ SI 
SK 
SL 
TJ 
TM 
TR 
TT 
TZ 
UA 
UG 



□ 
□ 
□ 
□ 
□ 
□ 
□ 
□ 
□ 



MN Mongolie 

MAV Malawi 

MX Mexique 

NO Norvege 

Nouvelle-Zeiande 

Pologne 

Portugal 

Roumanie 

Federation de Russie 

Soudan 
Suede 
Singapour 

Slovenie , 

Slovaquie 

Sierra Leone 

Tadjikistan 

Turkmenistan 

Turquie 

Trinit6-et-Tobago 

Republique-Unie de Tanzanie 

Ukraine 

Ouganda 

Etats-Unis d'Amerique 



□ 
□ 
□ 



□ 
□ 
□ 
□ 
□ 



UZ 
VN 
YU 
ZA 
ZW 



Ouzbekistan . . . 
Viet Nam 
Yougoslavie . . . 
Afrique du Sud 
Zimbabwe . . , 



KR 
KZ 
LC 
LK 



Republique de Coree Cases reservees pour la designation d*6tats qui sont devenus parties 

Kazakhstan au apr£s la publication de la presente feuille : 



Sainte-Lucie 
Sri Lanka 



□ 
□ 



Declaration concernant les designations de precaution : outre les designations faites ci-dessus, le deposant fait aussi conformement 
a la rfegle 4.9.b) toutes les designations qui seraient autorisees en vertu du PCT, a I 'exception de loute designation indiqu6e dans le cadre 
suppiementaire comme etant exclue de la portee de cette declaration. Le deposant declare que ces designations additionnelles sont 
faites sous reserve de confirmation et que toute designation qui n'est pas confirmee avant F ex pi rat ion d'un deiai de 15 mois a compter 
de la date de priori le doit et re consideree comme retiree par le deposant a Texpiration de ce deiai . (La confirmation (ycompris les taxes) 
doit parvenir a I 'office recepteur dans le deiai de J 5 mois.) 



Formulaire PCT/RO/I01 (deuxifeme feuille) (janvier 2000) 



Voir les notes relatives au formulaire de requite 



Feuillen 0 3 



Cadre n° VI REVENDICAJION DE PRIORITE 



□ 



41 



D * auir^Kvendi cat ions de priori id sont 



Date de d6pot 

f4 a In /A m in/IP Qnl^ril^ll rf* 

oc la Qemanue anit,ncurc 
(jour/m ois/annee) 


Numero 


Lorsque la demande anterieure est unc : 


demande nationale : 
pays 


demande regionale :* 
office regional 


demande international : 
office recepteur 


(l) 28 octobre 1999 
(28.10.1999) 


99 13508 


FRANCE 






(2) 










(3) 











L'office rdcepteur est prie de preparer et de transmettre au Bureau international une copie certified conforme de la ou des demandes 
anteYieures (seulement si la demande anterieure a ete deposee aupres de Vojfice qui, awe fins de 

la presente demande Internationale, est I 'office recepteur) indiquSes ci-dessus au(x) point(s) : | 



* Si la demande anterieure est une demande ARJPO. il est obligatoire d'indiquer dans le cadre supplementaire au moins un pays partie a la Convention 
de Paris pour la protection de la propriete industrielle pour lequel cette demande anterieure a ete deposee (regie 4.10.b)ii)). Voir te cadre supplementaire. 



Cadre n° VII ADMINISTRATION CHARGEE DE LA RECHERCHE INTERNATIONALE 



Choix de 1'ad ministration char gee de la recherche 
Internationale (ISA) (si plusieurs administrations 
chargees de la recherche Internationale sont competentes 
pour proceder a la recherche internationale, indiquer 
I 'administration choisie; le code a deux lettres peut efre 
utilise) : 

ISA/ 



Demande d'utilisation des resultats d'une recherche anterieure; mention de 
cette recherche (si une recherche anterieure a ete ejfectuee par /'administration 
chargee de la recherche Internationale ou demandee a cette derniere) : 

Date Qour/moisfannee) Numero Pays (ou office regional) 

28.10.99 99 13508 FR 

FA 577886 



Cadre n° VIII BORDEREAU; LANGUE DE DEPOT 



La presente demande internationale contient 
le n ombre de feu i lies suivant : 



requete : 

description (sauf partie reservee 
au listage des sequences) : 

revendications : 

abreg£ : 

dessins 

partie de la description rdservee 
au listage des sequences : 

Nombre total de feuilles 



03 
31 

04 
01 

04 



43 



Le ou les elements coches ci-apres sont joints a la presente demande internationale : 
I • □ feuille de calcul des taxes 
pouvoir distinct sign£ 

copie du pouvoir general; numero de reference, le cas echeant : 
explication de r absence d'une signature 

document(s) de priority indiqu£(s) dans le cadre n° VI au(x) point(s) : 1 

traduction de la demande internationale en (langue) : 

indications separees concernarit des micro-organismes ou autre materiel 
biologique deposes 

listage des sequences de nucleotides ou d'acides amines sous forme 
d^chiffrable par ordinateur 



4.D 



8.D 
9X1 



Figure des dessins qui 

doit accompagner Fabrege* : 3 


Langue de depot de la 

demande internationale : FRANCAIS 


Cadre n° IX SIGNATURE DU DEPOSANT OU DU MANDATAIRE 



A cote de chaque signature, indiquer le nom du signataire et, si cela n 'apparait pas clairement a la lecture de la requite, a quel titre I interesse signe. 



CORL 




(mandataire) 



— Reserve a 1' office recepteur 



Date effective de reception des pieces supposees 
constituer la demande internationale : 



3. Date effective de reception, rectifide en raison de la reception ulte- 
rieure, mais dans les delais, de documents ou de dessins completant ce 
qui est suppose constituer la demande internationale : 



4. Date de rdception, dans les delais, des corrections 
demandees selon Particle 1 1.2) du PCT : 



2. Dessins : 
| | recus : 



□ 



non recus ; 



5. Administration chargee de la recherche T q A # 
internationale (si plusieurs sont competentes) : loA / 



□ Transmission de la copie de recherche differee 
jusqu'au paiement de la taxe de recherche. 



Reserve au Bureau international 



Date de reception de Texemplaire 
original par le Bureau international : 



Formulaire PCT/RO/1 01 (derniere feuille) Quillet 1 998; rdimpression janvier 2000) Voir les notes relatives auformulaire de requete 




PCT/FROO/02979 



,f fRAKTE DE COOPERATION EN MATIERE DE BREVETS V 



Expediteur: le BUREAU INTEfifefa63"t»0MAL 




PCT 

NOTIFILAI IUN Lib LM ncucr i iisi* W| - 
L'EXEMPLAIRE ORIGINAL 

* 

(regie z^.z.a) au rvy i / ■ nnriS 

V PKI/P&T ft@c*d 28 JUN20RI 


Destinataire: j V> 
CORLU, Bernard «■ o a /T 

Bull s.a. BULL S.A* V 

PC58D20 

68, route de Versailles 
F-78434 Louveciennes Cedex 
FRANCE 


Date d'expedition (jour/mois/annee) 
23 novembre 2000 (23.1 1 .00) 


NOTIFICATION IMPORTANTE 


Reference du dossier du deposant ou du mandataire 
PCT 3855/BC 


Demande internationale no 
PCT/FROO/02979 


II est notifie au deposant que le Bureau international a regu I'exemplaire original de la demande Internationale prScisee 

ci-apres. 

Nom(s) du ou des deposants et de I'Etat ou des Etats pour lesquels ils sont deposants: 
BULL CP8 (pour tous les Etats designes sauf US) 
MARIANA, Renaud (pour US seulement) 

Date du depot international 26 OCtobre 2000 (26.10.00) 
Date(s) de priori revendio.uee<s) 28 OCtobre 1999 (28.10.99) 

na^IuS^ = 16 novembre 2000 (16.11.00) 

par le Bureau inTernauoiiai 

Liste des offices designes : 

EP:AT,BE,CH / CY,DE,DK,ES,Fl r FR,GB f GR,IE,IT,LU,MC # NL f PT,SE 
National :AU,CN,JP,KR,SG,US 

ATTENTION 

Le deposant doit soigneusement verifier les indications figurant dans la presente notification En cas de divergence entre ces 
indication^ « : celles que contient la demande Internationale, il doit aviser immed.atement le Bureau international. 
En outre. Inattention du deposant est appelee sur les renseignements donnes dans I'annexe en ce qui concerne 

X les delais dans lesquels doit etre abordee la phase nationale 

X la confirmation des designations faites par mesure de precaution 

X les exigences relatives aux documents de priorite. 

Une copie de la presente notification est envoyee a I'office recepteur et a I'administration chargee de la recherche Internationale. 


Bureau international de POMPI 
34, chemin des Colombettes 
1211 Geneve 20, Suisse 

n* de t6lecopieur (41-22) 740.14.35 


Fonctionnaire autorise 

Yolaine CUSSAC 

n° de telephone (41 -22) 338.83.38 C/^ ^ 

£f 003681245 





Formulaire PCT/IB/301 Guillet 1998) 
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~ ANNEXE DU FORMULAIRE PCT/IB/301 



Demfflat 



e Internationale no 
PCT/FROO/02979 



RENSEIGNEMENTS CONCERNANT LES DELAIS DANS LESQUELS DOIT ETRE ABORDEE 

LA PHASE NATIONALE 

II est rappele au deposant qu'il doit aborder la "phase nationale" aupres de chacun des offices designes indiques sur la 
notification de la reception de I'exemplaire original (formulaire PCT/IB/301) en payant les taxes nationales et en remettant les 
traductions, telles qu'elles sont prescrites par les legislations nationales. 

Le delai d'accomplissement de ces actes de procedure est de 20 MOIS a compter dela date de priorite ou, pour les Etats 
designes qui ont ete elus par le deposant dans une demande d'examen preliminaire international ou dans une election ult§rieure ( 
de 30 MOIS a compter de la date de priorite, a condition que cette election ait ete effectuee avant I'expiration du 19e mois a 
compter de la date de priorite. Certains offices designes (ou elus) ont fixe des delais qui expirent au-dela de 20 ou 30 mois a 
compter de la date de priorite. D'autres offices accordent une prolongation des delais ou un delai de grace, dans certains cas 
moyennant le paiement d'une taxe supplemental. 

En plus de ces actes de procedure, le deposant devra dans certains cas satisfaire a d'autres exigences particulieres 
applicables dans certains offices. II appartient au deposant de veiller a remplir en temps voulu les conditions requises pour 
I'ouverture de la phase nationale. La majorite des offices designes n'envoient pas de rappel a I'approche de la date hmite pour 
aborder la phase nationale. 

Des informations detail lees concern ant les actes de procedure a accomplir pour aborder la phase nationale aupres de 
chaque office designe, les delais applicables et la possibilite d'obtenir une prolongation des delais ou un delai de grace et toutes 
autres conditions applicables figurent dans le volume II du Guide du deposant du PCT. Les exigences concernant le depot d'une 
demande d'examen preliminaire international sont exposees dans le chapitre IX du volume I du Guide du deposant du PCT. 

GR et ES sont devenues liees par le chapitre II du PCT le 7 septembre 1996 et le 6 septembre1997, respectivement, et 
peuvent done etre elues dans une demande d'examen preliminaire international ou dans une election ulterieure presentee le 7 
septembre 1996 (ou d une date posterieure) ou le 6 septembre 1997 (ou a une date posterieure), respectivement, quelle que sort 
la date de depot de la demande intemationale (voir le second paragraphe, ci-dessus). 

Veuillez noter que seul un deposant qui est ressortissant d'un Etat contractant du PCT lie par le chapitre II ou qui y a 
son domicile peut presenter une demande d'examen preliminaire international. 



CONFIRMATION DES DESIGNATIONS FAITES PAR MESURE DE PRECAUTION 



Seules les designations expresses faites dans la requete conformement a la regie 4.9.a) figurent dans la presente 
notification II est important de verifier si ces designations ont ete faites correctement. Des erreurs dans les d6signations peuvent 
etre corrigees lorsque des designations ont 6te faites par mesure de precaution en vertu de la regie 4.9.b). Toute designation 
ainsi faite peut etre confirmee conformement aux dispositions de la regie 4.9.c) avant I'expiration d'un delai de 15 mois a 
compter de la date de priorite. En Pabsence de confirmation, une designation faite par mesure de precaution sera consideree 
comme retiree par le deposant. II ne sera adresse aucun rappel ni invitation. Pour confirmer une designation , il faut deposer une 
declaration precisant I'Etat designe concerne (avec I'indication de la forme de protection ou de traitement souhaitee) et payer les 
taxes de designation et de confirmation. La confirmation doit parvenir a I'office recepteur dans le delai de 15 mois. 



EXIGENCES RELATIVES AUX DOCUMENTS DE PRIORITE 



Pour les deposants qui n'ont pas encore satisfait aux exigences relatives aux documents de priorite, il est rappele ce qui 

suit 

Lorsque la priorite d'une demande nationale, regionale ou intemationale anterieure est revendiquee, le deposant doit 
presenter une copie de cette demande anterieure, certifiee conforme par I'administration aupres de laquelle elle a ete deposee 
("document de priorite"), a I'office recepteur (qui la transmettra au Bureau international) ou directement au Bureau international 
avant I'expiration d'un delai de 16 mois a compter de la date de priorite, etant entendu que tout document de priorite peut etre 
presente au Bureau international avant la date de publication de la demande intemationale, auquel cas ce document sera repute 
avoir ete regu par le Bureau international le dernier jour du delai de 16 mois (regie 17.1. a)). 

Lorsque le document de priorite est delivre par I'office recepteur, le deposant peut, au lieu de presenter ce document, 
demander 3 I'office recepteur de le preparer et de le transmettre au Bureau international. La requete 3 cet effet doit etre 
formulee avant I'expiration du delai de 16 mois et peut etre soumise au paiement d'une taxe (regie 17.1.b». 

Si le document de priorite en question n'est pas fourni au Bureau international, ou si la demande adressee i I'office recepteur 
de preparer et de transmettre le document de priorite n'a pas ete faite (et la taxe correspondante acquittee, le cas echeant) 
avant I'expiration du delai applicable mentionne aux paragraphes precedents, tout Etat designe peut ne pas tenir compte 
de la revendication de priorite; toutefois, aucun office designe ne peut decider de ne pas tenir compte de la revendication de 
priorite avant d'avoir donne au deposant la possibilite de remettre le document de priorite dans un delai raisonnable en I espece 

Lorsque plusieurs priorites sont revendiquees, la date de priorite a prendre en consideration aux fins du calcul du delai de 
16 mois est la date du depdt de la demande la plus ancienne dont la priorite est revendiquee. 



Formulaire PCT/IB/301 (annexe) (juillet 1998) 



003681245 
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WO 01/31880 
PCT/FR00/02979 



Suite du formulaire PCT/IB/308 

AVIS INFORMANT LE DEPOSANT DE LA COMMUNICATION DE 
LA DEMANDE INTERNATIONALE AUX OFFICES DESIGNES 



Date d'expedition (jour/mois/annee) 

03 mai 2001 (03.05.01) 
Reference du dossier du deposant ou du mandataire 
PCT 3855/BC 



AVIS IMPORTANT 



Demande internationale no 
PCT/FROO/02979 



declaration rjnformant que le deposant ne souhaitait pas presenter de mod.f.cat.ons. 
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TRAIT.E DE COOPERATION EN MATIERE WBREVETS 

Expediteur: le BUREAU INTERNATIONAL 



WO 01/31880 
PCT/FR00/02979 



PCT 

AVIS INFORMANT LE DEPOSANT DE LA 
COMMUNICATION DE LA DEMANDE 
INTERNATIONALE AUX OFFICES DESIGNES 

(regie 47.1.C), premiere phrase, du PCT) 



Date d'expedition (jour/mois/annee) 
03 mai 2001 (03.05.01) 



Destinataire: 

CORLU, Bernard 
Bull S.A. 
PC58D20 

68, route de Versailles 
F-78434 Louveciennes Cedex 
FRANCE 



Reference du dossier du deposant ou du mandate ire 
PCT 3855/BC 


AVIS IMPORTANT 


Demande Internationale no 
PCT/FR00/02979 


Date du depot international (jour/mois/ann6e) 
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(57) Abstract: The invention concerns a terminal architecture (5) for communica- 
tions between a smart card (S) and a Web server (4), via an Internet-type network 
(RI). The terminal (5) is provided with a secure housing (6) comprising a smart card 
(8) reader, a keyboard (62), and, optionally, other computer resources (63). The 
non-secure part of the terminal (5) comprises a Web browser (51) and a first commu- 
nication node (50) routing the received requests to the browser (51) or to the secure 
housing (6). The secure housing (6) comprises a second communication node (60) 
and a HTTP server (61). The smart card (8) comprises a third communication node 
(80) and a HTTP server (81). The Web server (4) comprises a transaction manage- 
ment and control application (41) capable of communicating with the smart card (8) 
and of activating the software applications (Aj to A n )thereof. 

(57) Abrege: Uinvention concerne une architecture de terminal (5) permettant des 
communications entre une carte a puce (8) et un serveur "WEB" (4), via un reseau 
de type Internet (RJ). Le terminal (5) est muni d'une enceinte securise"e (6) compre- 
nant un lecteur de carte a puce (8), un clavier (62) et, de fa^on optionnelle, d'autres 
ressources informatiques (63). La partie non securisee du terminal (5) comprend 
un navigateur "WEB" (51) et un premier noeud communication (50) aiguillant les 
requetes recues vers le navigateur (51) ou vers Tenceinte securisee (6). L' enceinte 
securisee (6) comprend un deuxieme noeud de communication (60) et un serveur 
"HTTP" (61). La carte a puce (8) comprend un troisieme noeud de communication 
(80) et un serveur "HTTP" (81). Le serveur "WEB" (4) comprend une application 
marchande (41) pouvant etre mise en communication avec la carte a puce (8) et ac- 
tiver des applications logicielles (A r A n ) de celle-ci. 
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TERMINAL SECURISE MUNI D'UN LECTEUR DE CARTE A PUCE 
DESTINE A COMMUNIQUER AVEC UN SERVEUR VIA UN RESEAU DE 

TYPE INTERNET 

L'invention concerne une architecture de terminal, plus 
particulierement un terminal du type mettant en ceuvre un clavier et un 
lecteur de carte a puce situes dans une enceinte securisee, et destine a 
communiquer avec un serveur, via un reseau de type Internet. 
5 Un tel dispositif est connu, par exemple, sous la denomination 

commerciale "safepad". 

Dans le cadre de l'invention, le terme "terminal" doit etre compris 
dans un sens general. Le terminal precite peut etre notamment constitue 
par un ordinateur personnel fonctionnant sous divers systemes 
10 Sexploitation, tels WINDOWS ou UNIX (tous deux etant des marques 
deposees). II peut etre aussi constitue par une station de travail, un 
ordinateur portable ou un terminal de carte dit dedie. 

De meme, dans le cadre de l'invention, le terme "reseau Internet" 
englobe, outre le reseau Internet proprement dit, les reseaux prives 
15 d'entreprises ou similaires, dits "intranet", et les reseaux les prolongeant 
vers I'exterieur, dits "extranet". 

Les cartes a puce sont utilisees dans divers domaines 
applications bancaires, de sante, comme "porte-monnaie" dit electronique, 
etc. Sur une carte a puce peuvent en outre coexister plusieurs applications 
20 (carte a puce multi-application). 

Pour ces types d'applications, les carte a puce peuvent se voir 
devolues diverses fonctions. En particulier, elles peuvent etre utilisees a 
des fins de securite. Le terme "securite" doit etre compris dans un sens 
general : notamment confidentiality et/ou authentification de I'utilisateur de 
25 la station et/ou du proprietaire de la carte a puce elle-meme. 

Dans ce cadre plus particulier d'applications, le terminal peut etre 
muni d'une enceinte securisee comprenant un lecteur de carte a puce, un 
clavier et eventuellement une ou plusieurs autres ressources informatiques. 
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La figure 1 illustre tres schematiquement I'architecture d'un terminal 
du type precite, selon I'art connu. 

Pour fixer les idees, on va supposer que le terminal 1 est constitue 
a base d'un micro-ordinateur. Celui-ci est muni de tous les organes 

s habituels constitutifs de tels appareils informatiques et necessaires a leur 
bon fonctionnement (et qui n'ont pas ete represents) : unite centrale, 
memoire vive, memoire de masse (disque dur), lecteur(s) de support 
d'information (disquettes, etc.), etc. Dans le cas particulier illustre sur la 
figure 1, le terminal 1 est muni d'une enceinte securisee 3 comprenant un 

io lecteur 30 de carte a puce 2 et un clavier 31 . Le clavier 31 sert notamment a 
la saisie de donnees d'authentification du possesseur de la carte a puce 2 : 
par exemple un mot de passe associe a un identifiant de la carte a puce 2. 
Divers circuits electroniques permettent une communication entre les 
elements securises presents dans cette enceinte, notamment le clavier 31 

1 s et la carte a puce 2 (via le lecteur 30), d'une part, et ces elements securises 
et les elements non securises presents dans le terminal 1, d'autre part. 

Habituellement, le terminal comprend, dans sa partie non 
securisee, une application specifique 10, que I'on appellera ci-apres 
"marchande", assurant la gestion et le controle de transactions particulieres 

20 permises par le terminal 1 en question. Les communications entre cette 
application 10 eMes elements internes a I'enceinte securisee 3 s'effectuent 
habituellement s^on un standard du type "RS232". Les communications 
entre les elements internes a I'enceinte securisee 3, notamment une 
application residente 300, et la carte a puce 2. via le lecteur 30, s'effectuent 

25 habituellement selon un protocole obeissant aux normes ISO 7816-1 a 
7816-4. 

Ce type d'architecture presente done comme premiers 
inconvenients, notamment les suivants : 

- ^application marchande implantee dans le terminal (partie non 
30 securisee) et celle residente dans I'enceinte securisee sont specifiques a 

ce terminal \ 

- les programn:es informatiques associes sont en general volumineux ; et 
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- la souplesse et la fiabilite sont limitees, car une modification de ces 
programmes necessite un rechargement de programmes dans le terminal 
(partie non securisee) et dans I'enceinte securisee, ainsi 
qu'eventuellement I'execution de tests de bon fonctionnement, ce qui 
5 necessite la presence de personnel specialise. 

Generalement, cette derniere operation doit etre repetee pour un 
grand nombre de terminaux. 

II doit en outre etre conserve a I'esprit qu'il s'agit d'applications en 
tout ou partie securisees. On doit done pouvoir garantir, pour la mise a jour 

0 de programmes, un niveau de securite determine, propre a I'application 
specifique. 

Le plus souvent, le terminal 1 n'est pas isole, en ce sens qu'il est 
relie, via un reseau de transmission Rl, a un ou plusieurs systemes 
eloignes, dont un seul 4 a ete illustre sur la figure 1 . La nature du reseau Rl 

5 peut etre tres diverse, selon les applications envisagees (application 
bancaire, de sante, etc.). H peut s'agir notamment du reseau Internet ou 
d'un reseau de ce type (intranet ou extranet), compte tenu du 
developpement rapide de ce dernier type de reseau et des applications qui 
y font appel. De facon habituelle, ("architecture globale est du type dit 

7 "client-serveur", le "serveur" etant generalement le systeme eloigne 4 et le 
"client" etant le terminal 1. Mais dans certaines circonstances, les roles 
peuvent etre inverses ou alternes pendant le temps d'une transaction. 

Dans une telle architecture, les programmes associes a 
Tapplication specifique 10 et a I'application 300, en presence d'une 

1 modification de leur version, pour quelle que raison que ce soit, peuvent 
alors etre mis a jour de facon centralisee, a partir d'un des serveurs 
eloignes, par exemple le serveur 4. II s'ensuit qu'un des inconvenients 
signales peut etre attenue, la mise a jour etant effectuee par teletraitement. 
Ces operations necessitent cependant la mise en oeuvre de procedures 

) d'administration bien rodees. En outre, le telechargement peut comprendre 
des donnees sensibles ou pour le moins ne doit pas autoriser I'implantation 
dans le terminal de programmes et/ou procedures non autorises ou 
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dangereux pour la securite ("cheval de Troie" "bombes logiques", virus, 
etc.). 

En outre, avec la montee en puissance et I'universalite du reseau 
Internet, le besoin se fait sentir de "faire migrer" les applications specifiques 
5 precitees, implantees localement dans les terminaux, vers les serveurs 
eloignes, que Ton appellera ci apres "serveurs marchands", d'une part, et 
de dialoguer directement avec la carte a puce, a partir de ces serveurs 
marchands, d'autre part. 

Ce second besoin, en particulier, ne peut etre satisfait par les 
10 terminaux de Tart connu, pour des raisons qui vont etre explicitees ci-apres. 

Mais tout d'abord, il paraTt utile de decrire brievement une 
architecture de systeme permettant la communication entre un terminal 
selon Tart connu et un serveur eloigne, via un reseau de type Internet Rl. 
Une telle architecture est representee schematiquement sur la figure 2, 
15 figure sur laquelle a ete representee plus particulierement Tarchitecture 
logique du terminal, reference 1\ 

Le terminal 1' est ici un terminal d'un type general, securise ou non, 
cette disposition n'etant pas importante pour expliciter les differents types 
de communications en cause. 
20 Comme il a ete indique precedemment, le terminal 1* comprend 

naturellement tous les circuits et organes necessaires a son bon 
fonctionnement, et . qui n'ont pas ete representes dans un but de 
simplification du dessin. Habituellement, le terminal 1* est aussi relie a des 
peripheriques cla^siques, integres ou non, tels un ecran de visualisation 
25 (non represents) et un clavier 31 , situe dans une enceinte securisee (figure 
1 : 3) dans le cadre plus particulier de I'invention. 

Habituellement, les communications sur les reseaux s'effectuent 
conformement a des protocoles repondant a des standards comprenant 
plusieurs couches logicielles superposees. Dans le cas d'un reseau Rl de 
30 type Internet, les communications s'effectuent selon des protocoles 
specifiques a ce type de communication, mais qui comprennent aussi 
plusieurs couches logicielles. Le protocole de communication est choisi en 
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fonction de Papplication plus particulierernent visee : interrogation cle pages 
"WEB", transferts de fichiers, courrier electronique (e-mel, ou "e-mail" selon 
la terminologie anglo-saxonne), forums ou "news", etc. 

L'architecture des reseaux de communication est decrite par 
5 diverses couches. A titre d'exemple, le standard "OSI" ("Open System 
Interconnection"), defini par r "ISO", comporte sept couches qui vont des 
couches dites basses (par exemple la couche dite "physique" qui concerne 
le support de transmission physique) aux couches dites hautes (par 
exemple la couche dite "d'application"), en passant par des couches 
10 intermediates, notamment la couche dite de "transport". Une couche 
donnee offre ses services a la couche qui lui est immediatement superieure 
et requiert de la couche qui lui est immediatement inferieure d'autres 
services, via des interfaces appropriees. Les couches communiquent a 
Taide de primitives. Elles peuvent egalement communiquer avec des 
15 couches de meme niveau. Dans certaines architectures, Tune ou I'autre de 
ces couches peut etre inexistante. 

Dans un environnement Internet, les couches sont au nombre de 
cinq, et de fagon plus precise, en allant de la couche superieure a la couche 
inferieure : la; couche ^applications ("http", "ftp" "e-mail" t etc.), la couche 
20 de transport ('TCP"), la couche d'adressage de reseau ("IP"), la couche de 
liens de donnees ("PPP", "Slip", etc.) et la couche physique. 

Le terminal V comprend des circuits d'acces 11 au reseau Internet 
II peut s'agir d'un modem pour se connecter a une ligne telephonique 
commutee ou a un reseau numerique a integration de services ("RNIS"), via 
25 par exemple un prestataire de services Internet ("Internet Service Provider" 
ou "ISP", selon la terminologie anglo-saxonne). Les circuits 1 1 d'acces au 
reseau Rl regroupent les couches logicielles inferieures Ci et C2, 
correspondent aux couches "physique" et de "lien de donnees" precitees. 

On a egaiement represents les couches superieures C3 et C4, 
30 correspondant aux couches "d'adressage de reseau" ("IP") et de "transport" 
('TCP"). La couche superieure d'application ("http" "ftp", "e-mail", etc.) est 
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schematisee par un navigateur "WEB" NW de type quelconque, de 
preference d'un type standard du commerce. 

(.'interface entre les couches inferieures, Ci et C2, et les couches 
superieures, C3 et C4, est constitute par une couche logicielle 15 
5 generalement appelee "driver couches basses". Les couches superieures, 
C3 et C4, s'appuient sur cette interface et sont mises en oeuvre par 
I'intermediaire de bibliotheques de fonctions specifiques ou bibliotheques 
reseau 14, avec lesquelles elles correspondent. Dans le cas du reseau 
Internet, 'TCP/IP" est mis en ceuvre au moyen de bibliotheques dites de 
10 "sockets". 

Cette organisation permet au navigateur NW de poser des 
requetes vers un serveur eloigne 4, pour la consultation de pages ""WEB"" 
(protocole "HTTP"), pour le transfer! de fichiers (protocole "FTP") ou renvoi 
de courrier electronique (protocole "e-mail"). 
15 Le terminal 1' comprend egalement le lecteur de carte 30 situe 

dans une enceinte securisee (figure 1 : 3), dans le cadre plus particulier de 
r invention. Pour communiquer avec la carte a puce 2, le lecteur de carte 30 
englobe egalement deux couches basses, CC1 (couche physique) et CC2 
(couche de lien de donnees), jouant un role similaire aux couches C1 et C2. 
20 Les interfaces logicielles avec les couches CC1 et CC2 sont decrites, par 
exemple, par la specification "PC/SC" ("part 6, service provider"). Les 
couches elles-memes, CC1 et CC2, sont notamment decrites par les 
normes ISO 7816-1 a 7816-4. 

Une couche logicielle supplementaire 13 forme interface entre des 
25 couches applicat:ves t sous la reference unique Applh % et les couches 
inferieures, CC1 et CC2- La fonction principale devolue a cette couche 13 
est une fonction de multiplexage/demultiplexage. 

Du cote de la carte a puce 2, on retrouve une organisation 
similaire, a savoir la presence de deux couches basses, referencees CC'1 
30 (couche physique) et CC'2 (couche de lien de donnees), ainsi qu'une 
couche d'interface 23, tout a fait similaire a la couche 13. Cette couche 23 
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assure une interface entre les couches protocolaires CC'1 et CC'2 precitees 
et une ou plusieurs couches applicatives, representees sous la forme d'un 
module unique referencee Appli 2 . 

Les communications entre le lecteur de carte a puce 30 et la carte 
5 a puce 2 s'effectuent a I'aide de commandes standardises, connues sous 
i'abreviation anglo-saxonne de "APDU" (pour "Application Protocol Data 
Unit"). 

Differents protocoles sont utilisables, et a titre d'exemples non 
exhaustifs les suivants : 
10 - la recommandation ETSI GSM 11.11 ; 

- le protocoie defini par la norme ISO 7816-3, en mode caractere T=0 ; 

- le protocoie defini par la norme ISO 7816-3, en mode bloc T=1 ; 

- ou le protocoie defini par la norme ISO 3309, en mode trame "HDLC" 
(pour "High-Level Data Link Control procedure" ou procedure de 

is commande de liaison a haut niveau). 

Dans le cadre de I'invention, on utilisera de preference le protocoie 
ISO 7816-3, en mode bloc. 

De facon connue en soi, a chaque couche de protocoie, il est 
associe un certain nombre de primitives qui permettent les echanges de 
20 donnees entre couches de meme niveau et d'une couche a I'autre. 

Dans I'etat actuel de la technique, il n'est pas possible de mettre en 
communication directe la carte a puce 2 avec un serveur eloigne 4, via le 
reseau Internet Rl, car le protocoie de communication entre une carte a 
puce 2 d'un type standard, qui vient d'etre rappele, est incompatible avec 
25 ceux utilises sur le reseau Internet ou tout reseau de ce type. II n'est pas 
non plus possible d'etablir des communications directes entre le navigateur 
NWet la carte a puce 2, sauf a implanter dans le navigateur A/Wune piece 
de logiciel, dit "plug-in", d'un type specifique. 

Si on se reporte de nouveau a la figure 1, en supposant que le 
30 terminal 1 est relie au reseau Internet, et en resume de ce qui vient d'etre 
rappele, on constate que ce terminal 1 , selon I'art connu, comprenant une 
enceinte securisee 3 munie d'un clavier 31 et d'un lecteur 30 de carte a 
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puce 2, comporte deux interfaces principals de communication, Si et S 2> 
representees en traits pointilles. Une premiere interface, relie I'enceinte 
3 au terminal 1 proprement dit, ou s'execute I'application marchande 10, et 
une deuxieme interface, S 2 , est prevue pour les communications avec la 
5 carte a puce 2. En realite, I'interface S 2 est repartie entre I'application 300 et 
la carte a puce 2. A ces deux interfaces s'ajoute en outre I'interface vers 
I'exterieur (figure 2 : circuits 1 1 notamment), qui permet au terminal 1 de 
communiquer avec le reseau Internet/?/. L'interface Si accepte deux 
niveaux de dialogue : un premier dialogue transparent pour lequel un ordre 
10 emis par le terminal 1 s'execute sans modification semantique par 1'interface 
S2, et un second niveau de dialogue qui fait intervenir I'application 300. 

Ainsi I'authentification par saisie de mot de passe sur le clavier 31 
est un ordre soumis a I'interface Si qui est interprets par I'application 300 et 
transforme en une succession d'echanges sur I'interface S2, entre 
15 rappjication 300 et >a carte a puce 2. Le resultat de ces echanges est 
transmis a 1'interface Si. 

Outre le fait, qu'il est exclu, dans I'etat actuel de la technique, 
qu'une carte a puce standard 2 accepte des echanges directs avec le 
reseau Internet /?/, comme il vient d'etre rappele, I'inconvenient majeur des 
20 terminaux selon Tart connu est constitue par la presence de I'application 
residente 300. II s'agit le plus souvent d'une application dite "proprietaire", 
ce qui implique que I'application marchande 10 doit etre ecrite en fonction 
de la nature et du type de terminal utilise. Elle est done a priori differente 
d'un type de terminal a un autre, ce qui ne facilite pas les operations de 
25 maintenance. En outre, elle n'est pas non plus adaptee a un environnement 
de type Internet. 

II a ete propose des standards pour des applications du type de 
celle de I'invention, comme le standard connu sous le sigle anglo-saxon 
"OCF" (pour "Open Card Framework") qui tend a la standardisation des 
30 echanges entre le terminal marchand 1 et le lecteur 30 de carte a puce 2, 
en respectant par exemple ia norme "EMV" des terminaux. Cependant un tel 
standard n'est pas directement utilisable dans un contexte Internet. 
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Est egalement connu, dans le domaine des applications bancaires, 
le protocole dit "C-SET", protocole defini par le G.I.E. carte bancaire. Selon 
ce protocole, un utllisateur se connecte sur un site marchand disponible sur 
le "WEB" et procede a un achat. Ce dernier, lors de la transaction, sollicite 
5 des elements de I'enceinte securisee pour authentifier le porteur de la carte 
bancaire effectuant I'achat. Cette authentification est effectuee par 
I'execution d'un logiciel dans le terminal (partie non securisee) et I'enceinte. 
Ce protocole n'est pas non plus exempt d'inconvenients : 

- il rend necessaire la presence d'un logiciel specifique dans le 
to terminal et dans I'enceinte ; 

- il rend necessaire la certification des logiciels imposes par "C- 

SET; 

- le protocole "C-SET" est uniquement oriente paiement : le logiciel 
dans le terminal qui traite les informations du serveur "WEB" et du paiement 

is par la carte bancaire est un logiciel de paiement. 

Par ces caracteristiques, il ne differe guere des solutions de Part 
connu precedemment evoquees. II ne permet pas des communications de 
bout en bout, selon un protocole de type Internet, notamment un adressage 
direct de la carte a puce. De par sa specificite, il n'offre aucune flexibilite et 
n'est pas adapte pour une utilisation dans d'autres domaines : sante, mise a 
jour de donnees stockees sur une carte a puce, credit de points, etc. 

Tout en palliant les inconvenients des precedes et architectures de 
I'art connu, et dor* certains viennent d'etre rappeles, I'invention se fixe pour 
but de remplir les besoins qui se font sentir. 
25 Elle fevorise I'utilisation sur le reseau Internet de terminaux 

comprenant une enceinte securisee munie d'au moins un lecteur de carte a 
puce et d'un clavier, en permettant la migration des applications des 
lecteurs de carte a puce et des terminaux vers un serveur eloigne de type 
"WEB", d'une part, et le dialogue direct avec la carte a puce, d'autre part. 

Elle permet une mise a jour ou un ajout de logiciel interne a 
I'enceinte securisee, avec un maximum de securite. 
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Pour ce faire, selon un premier aspect de Invention, la carte a 
puce n'est plus adressee de facon classique par des "APDU" 
conformement au protocole de communication ISO 7816 precite mais par 
utilisation d'une adresse "URL" (pour "Universal Resource Location") 
5 Comme il est connu, une adresse "URL" est constituee d'une adresse "IP" 
proprement d.te et d'un numero de port. De la meme maniere, l'enceinte 
securisee utilise ce< adressage par "URL". 

Selon un aspect de Invention, la carte a puce se comporte done 
aussi comme un serveur et/ou client "WEB". 
9 L'enceinte securisee selon Invention est "transparente" pour le 

reseau Internet, en ce sens que les "ordres carte" emanant du serveur 
marchand eloigne ne font pas intervenir d'elements d'adressage du 
terminal. II s'ensuit que les resources associees a l'enceinte securisee ne 
sont pas accessibles du reseau Internet. Par contre, les applications 
contenues dans la carte a puce ont la possible d'adresser et d'activer 
toutes les resources informations presentes dans l'enceinte securisee 
notamment un clavier, par simple adressage "URL" comme il sera explicite 
ci-apres. 

Pour ce.faire, le terminal comprend physiquement : 
- une enceinte securisee d'un type modifie, comprenant au moins 
un lecteur de carte a puce et un clavier (et/ou une autre ressource 
mformatique), tous deux rattaches a un serveur "HTTP" dit d'enceinte 
securisee, ainsi qu'une unite d'execution qui gere I'ensemble des 
ressources presentes dans l'enceinte ; et 

- outre des elements classiques (memoires. etc.) et un navigateur 
de type "WEB", un premier nceud de communication, dit de terminal 
assurant des communications entre le reseau Internet, le navigateur de type 
"WEB" et/ou I'enceirite securisee. 

Par ailleurs, l'enceinte securisee precitee comprend un deuxieme 
noeud de communication, dit d'enceinte, assurant des communications entre 
le terminal proprement dit, via le premier nceud de communication le 
serveur "HTTP" dit d'enceinte securisee, et/ou le lecteur de carte a puce ' 
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La carte a puce est elle-meme munie d'un troisieme nceud de 
communication, dit de carte, et d'une adaptation logicielle se comportant 
comme un serveur "HTTP", formant interface entre au moins une application 
residente dans la jarte a puce et le deuxieme nceud de communication. 
s Le premier noeud de communication aiguille les requetes du reseau 

Internet ayant un numero de port associe a renceinte securisee vers cette 
enceinte et effectue les adaptations de protocoles necessaires pour mettre 
en communication directe le reseau Internet avec le deuxieme nceud de 
communication, et assurer une propagation d'informations et/ou d'ordres 
10 vers la carte a puce. 

Pour certaines applications, notamment des applications exigeant 
un haut niveau de securite, renceinte securisee peut comprendre 
avantageuserr.ent une ou plusieurs ressource(s) informatique(s) 
supplementaire(s), tels par exemple des dispositifs d'authentification 
biometriques (reconnaissance oculaire, vocale et/ou de signature), un 
coprocesseur ou un interpreteur externe. 

Dans une variante preferee du procede selon Invention, les 
programmes necessaires au fonctionnement des elements et ressources de 
renceinte securisee, ou leurs mises a jour, sont telecharges, via le reseau 
Internet, depuis un serveur "WEB" distant relie a ce reseau. La mise a jour 
peut inclure reffacement, au moins partiel de ces programmes. 

On prevoit egalement, dans des variantes de realisation 
supplementaires, de telecharger, mettre a jour et/ou supprimer des 
applications ou parties d'applications enregistrees dans la carte a puce 
(fichiers, programmes, scripts, etc.), via le reseau Internet et les nceuds de 
communication. 

Toutes ces operations peuvent s'effectuer dans de tres bonnes 
conditions de securite, du fait de la transparence precitee de I'enceinte 
securisee vis-a-vis du reseau Internet. 

L'invention a done pour objet principal un terminal muni d'une 
enceinte securisee destinee a communiquer avec au moins un serveur de 
type "WEB", via un reseau de type Internet, selon un premier protocole de 
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communication de type Internet, ladite enceinte securisee comprenant au 
moins un lecteur de carte a puce, ladite carte a puce stockant au 
application logicielle, caracterise en ce que ledit terminal comprend une 
partie non securisee comprenant au moins un premier module dit premier 
5 nceud de communication, ladite enceinte securisee comprend au moins un 
deuxieme module dit deuxieme nceud de communication et ladite carte a 
puce comprend au moins un troisieme module dit troisieme nceud de 
communication, en ce que lesdits nceuds de communication component 
des premiere, deuxieme et troisieme piles protocolaires. respect.Vement 
o comprenant chacune un nombre determine de couches logicielles de 
communication dites standards et des premiere, deuxieme et troisieme 
pieces de logiciel specifique, respectivement, comprenant chacune au 
moins une premiere entite logicielle, lesdites premieres entites logicielles 
etant appariees deux a deux, en ce que ledit premier nceud autorise au 
mo.ns des communications entre ledit terminal et ledit serveur "WEB", selon 
ledit premier protocole de communication de type Internet, en ce que 
lesdites premieres entites desdites premiere et deuxieme pieces de logiciel 
specifique autorisent Tetablissement d'une session d'echanges de donnees 
bilateraux entre, ledit terminal et la dite enceinte securisee, selon un 
deuxieme protocole de communication determine, en ce que lesdites 
premieres entites desdites deuxieme et troisieme pieces de logiciel 
specifique autorisent au moins I'etablissement d'une session d'echanges de 
donnees bilateraux entre la dite enceinte securisee et ladite carte a puce 
via ledit lecteur de carte a puce, selon un troisieme protocole de 
communication determine, de maniere a pouvoir mettre en relation au moins 
une desdites applications logicielles de la carte a puce avec ledit serveur de 
type "WEB". 

^invention va maintenant etre decrite de facon plus detaillee en se 
referant aux dessins annexes, parmi lesquels : 

- la figure 1 illustre schematiquement un exemple de terminal 
selon rart connu comprenant une enceinte securisee munie d'un 
lecteur de carte a puce et un clavier ; 
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- la figure 2 illustre de facon generale I'architecture logique d'un 
terminal selon I'art connu comprenant un lecteur de carte a puce et 
communiquant avec un serveur "WEB" via le reseau Internet ; 

- la figure- 3 illustre schematiquement un exemple d'architecture 
5 generale selon Invention permettant des communications, via le 

reseau Internet, entre un serveur eloigne, dit marchand, et un 
terminal muni d'une enceinte securisee comprenant un lecteur de 
carte a puce, un clavier et d'autres ressources informatiques ; 

- la figure 4 illustre I'architecture logique de modules permettant 
> les communications entre I'enceinte securisee du terminal de la 

figure 3 et la carte a puce ; et 

- la figure 5 illustre un mode de realisation particulier de 
I'architecture logique de la carte a puce. 

On va mainienant decrire un exemple de realisation de terminal a 
enceinte secure conforme a ('invention et I'architecture de systeme de 
communication entre ce terminal et un serveur dit "marchand". par reference 
a la figure 3. 

Le terminal, desormais reference 5, peut etre realise, comme il a 
ete indique, a base d'un micro-ordinateur ou d'un appareil similaire II 
comprend un certain nombre d'elements classiques : microprocesseur 
memoires vive et morte, memoire de masse (disque dur, etc.), etc qui ne 
sont pas represents et sont bien connus de THomme de Metier. Par contre 
dans I'application propre a I'invention, le terminal 5 comprend une enceinte 
6, securisee P ar des moyens physiques et logiques, connus en soi Cette 
enceinte secuisee 6 comprend des elements communs a I'art connu mais 
aussi des elements specifiques a I'invention et qui seront precises ci-apres 
Elle comprend tout d'abord, comme dans Tart connu, un clavier 62 son 
gestionnaire 620, ou "handler selon la terminologie anglo-saxonne, et un 
lecteur de carte a puce 7. 

Le terminal 5 est connecte a un serveur eloigne 4 via le reseau 
Internet Rl ou tout reseau de ce type (intranet, extranet). Comme dans le 
cas de la figure 2, il comprend done tous les elements logiques et materiels 
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permettant.de communiquer selon un des protocoles utilises sur le reseau 
Internet, notamment le protocole "HnTVTCP-IP". || est done inutile de re- 
decrire ces elements, sauf a mentionner qu'il comprend un navigateur de 
type "WEB" reference 51. Ce navigateur 51 permet notamment de poser 
des requetes vers le serveur 4. II constitue une des applications presentes 
dans le terminal 5, celui-ci pouvant en effet en comporter une pluralite. 

Selon une premiere caracteristique de I'invention. les applications 
specifiques de ('application marchande ont migre vers le serveur 4. Ce 
dernier comprend done notamment un serveur "HTTP" proprement dit 40 et 
les applications msrehandes precitees, enregistrees dans des moyens de 
memoires 41. 

Selon une autre caracteristique de I'invention, le terminal comprend 
un premier module specifique 50, que Ton appellera premier nceud de 
communication ou "noeud de communication terminal". Ce module 50 
comprend des moyens classiques de communication, notamment les piles 
protocolaires decrites en relation avec la figure 2. mais aussi des elements 
specifiques qui seront decrits ulterieurement. 

Selon une autre caracteristique encore, I'enceinte securisee 6 
comprend aussi un module specifique 60, que Ton appellera deuxieme 
noeud de communication ou "nceud de communication enceinte". 

Le premier noeud de communication. 50, permet de faire 
communiquer les serveurs du reseau Rl, par exemple le serveur 4, ainsi 
que les applications presentes dans la partie non securisee du terminal 5 
(par exemple le navigateur "WEB" 51) avec les elements presents dans 
I'enceinte securisee 6. notamment le lecteur de carte a puce 7 et la carte a 
puce 8, via le deuxieme noeud de communication 60. 

L'enceinte securisee 6 comprend un serveur "HTTP" 61, que Ton 
appellera serveur "HTTP enceinte", dispose entre le deuxieme noeud de 
communication 60. et le clavier 62. Ce dernier constitue I'une des 
ressources informatiques de I'enceinte securisee 6. Cette derniere, comme 
il a ete indique dans le preambule de la presente description, peut 
comprendre des ressources supplemental 1 a /, representees sous la 
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reference unique 63. II peut s'agir, par exemple, de disposes 
d'authentification biometriques, d'un coprocesseur ou d'un interpreter 
externe. La ou les ressource(s) 63 est (sont) egalement connectee(s) au 
serveur "HTTP" 61, de maniere similaire au clavier 62. 

s Le serveur "HTTP" 61 et egalement connecte au lecteur de carte a 

puce 7. 

Le noeud de communication 60 permet d'aiguiller les requetes du 
terminal 5 vers la carte a puce 8, via le lecteur de carte a puce 7, de dinger, 
en sens inverse, les requetes de la carte a puce 8, soit vers'le serveur 
"HTTP" 61 , soit vers le terminal 5, via le noeud de communication 50. 

Selon un aspect de I'invention, le serveur "HTTP" 61 permet a la 
carte a puce 8, et uniquement a celle-ci, d'utiliser les ressources, 62 a 63, 
de I'enceinte securisee 6. 

L'impossibilite d'acceder aux informations du clavier 62 ou des 
autres ressources 63, autrement qu'en passant par la carte a pU ce 8, qui 
joue un role d'intermediaire, est due a plusieurs facteurs : 

a/ I'enceinte 6 est physiquement securisee (impossibilite physique 

"d'espionner" les elements) ; 

b/ la programmation du noeud 60 est telle que celui-ci empeche tout 
routage de donnees provenant de I'exterieur vers I'entite "HTTP 
enceinte" 61, le noeud 60 etant par ailleurs protege, puisque situe a 
I'interieur de I'enceinte securisee 6 ; et 

c/ la programmation de I'entite "HTTP enceinte" 61 est telle que cette 
derniere n'accepte pas de requetes autres que celles emanant de la 
carte a puce 8, ce serveur 61 etant aussi protege, puisque egalement 
situe a I'interieur. de I'enceinte securisee 6. 

Si le point a/ est, en soi, commun a I'art connu et a Tinvention, les 

points b/ et cf constituent des caracteristiques specifiques et avantageuses 

de I'invention. 

On va maintenant decrire de facon plus detaillee comment 
s'effectuent les communications entre le reseau Internet Rl et les elements 
de la partie non securisee du terminal 5, entre ces derniers et ceux de 
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renceinte securisee 6, entre les elements de I'enceinte securisee 6, et entre 
ces derniers ei la carte a puce 8, via le lecteur de carte a puce 7. 

Selon I'une des caracteristiques principals de Invention, toutes 
ces communications s'effectuent selon un mode que I'on qualifiera 
s "d'homogene", tout a la fois compatible avec les protocols Internet, par 
utilisation d'adresse de type standard "URL", et conservant les protocoles 
normalises de communication, notamment entre la carte a puce 8 et le 
lecteur de carte a puce 7 (c'est-a-dire conformes aux normes ISO 7816 
precitees). 

Les communications entre le navigateur "WEB" 51 et le serveur 
"marchand" 4 ne posent pas de problemes particuliers et peuvent 
s'effectuer ncrmalement selon le protocole "HTTP", par utilisation de 
couches protocolaires classiques (voir figure 2) et d'un adressage "URL" 
Par centre, comme il a ete rappele, dans i'art connu, il n'en est pas de 
meme entre les elements non securises et securises d'un terminal (figure 1 : 
1) ou les communications sont habituellement effectuees en mode RS232 
ni entre les elements de I'enceinte securisee 6 et la carte a puce 8, via le 
lecteur 7. Dans ce dernier cas, comme il a ete explicite en regard de la 
figure 2, les communications s'effectuent, certes par mise en ceuvre de 
20 couches protocolaires, mais a I'aide d'un jeu d'ordres "APDU" 
conformement a la norme ISO 7816-3 precitee, done aussi de facon 
incompatible avec un protocole de type Internet. 

Aussi. I'invention propose des dispositions specifiques permettant 
d'unifier les com-nunications, tout en conservant la standardisation des 
is elements entrant en jeu dans les communications et en ne conduisant qu'a 
des modifications mineures. 

On va tout d'abord detainer les modifications a apporter a I'enceinte 
securisee 6 et a la carte a puce 8, pour pouvoir assurer des 
communications entre ces deux entites, de facon conforme a I'invention. 
o Selon une caracteristique de I'invention, on munit la carte a puce 8 

d'un module specifique constituant un troisieme nceud de communication 80 
et un serveur "HTTP" 81, que I'on appellera ci-a P res respectivement "nceud 
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de communication carte" et "serveur HTTP de carte". La ou les „ 
application(s) presente(s) dans la carte a puce 8, A, a A n , sont connectees 
par une premiere face du serveur "HTTP" 81. Par ces dispositions, la carte 
a puce 8 est transformee en serveur et/ou client "WEB" pour I'enceinte 
5 securisee 6 et peut etre "adressee" par une adresse "URL". 

Cette architecture est obtenue, selon Invention, essentiellement en 
implantant une premiere couche de protocole de communication specifique 
dans la carte a puce 8. De meme, une deuxieme couche de protocole de 
communication specifique, formant le pendant de la premiere, est implantee 
10 dans I'enceinte securisee 6. 

En ce qui concerne les echanges entre carte a puce 8 et enceinte 
securisee 6, le schema fonctionnel de la figure 3 peut etre represent* par 
J'architecture logique illustree par la figure 4. 

Dans cette architecture, on retrouve les couches protocolaires de 
Tart connu, comme illustre par la figure 2, qui jouent les memes roles et 
portent les memes references. II est done inutile de les re-decrire. 

Par contre, on prevoit, de part et d'autre, e'est-a-dire dans 
I'enceinte securisee 6 et dans la carte a puce 8, deux couches de 
protocoles spe^ifiques supplemental : 64 et 84, respectivement 
20 Dans I'enceinte securisee 6, la couche specifique 64 s'interface aux 

couches protocolaires du lecteur de carte 3, e'est-a-dire les couches 
inferieures, CCi et CC 2 . via la couche de multiplexage 13. La couche 
specifique 64 permet le transfer! de paquets de donnees de et vers la carte 
a puce 8. En outre, elle adapte les applications existantes pour des 
utilisations mettant en ceuvre la carte a puce 8, sans devoir les reecrire. 

Du cote de la carte a puce 8, on retrouve une organisation tout a 
fait similaire constituee par une instance supplemental de la couche 
specifique, references 84, pendant de la couche 64. 

De facen plus precise, les couches specifiques, 64 et 84, sont 
30 subdivisees en tro?s elements logiciels principaux : 
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- un module, 640 ou 840, de transfert de blocs deformations 
entre les couches 13 et 23, via les couches conventionnelles CCi, CC 2 . 
CC'1 et CC'2 ; 

- uhe ou plusieurs pieces de log.ciel, dites "agents intelligents", 
5 641 ou 841, qui realisent, par exemple. des fonctions de conversion de 

protocoles ; 

- et un module de gestion de la configuration specifique, 642 et 
842, respectivement, module qui peut etre assimile a un agent intelligent 
particulier. 



10 



On retrouve done, dans I'enceinte securisee 6 et la carte a puce 8, 
une pile protocolaire de communication entre les deux entites. 

Les couches de niveau deux (couches de lien de donnees), CC2 
et CC'2. assurent les echanges entre la carte a puce 8 et I'enceinte 
securisee 6. Ces couches sont responsables de la detection et I'eventuelle 
is correction d'erreurs de transmission. Les differents protocoles rappeles sont 
utilisables a cette fin (recommandation ETSI GSM 1 1 .1 1 ; le protocole defini 
par la norme ISO 7816-3, en mode caractere T=0 ou en mode bloc T=1 ; ou 
le protocole defini par la norme ISO 3309, en mode trame "HDLC"). II a ete 
indique que, dans le cadre de Invention, on utilise de preference le 
20 protocole ISO 7816-3, en mode bloc. 

De facon connue en soi, a chaque couche de protocole il est 
associe un certain nombre de primitives qui permettent les echanges de 
donnees entre couches de meme niveau et d'une couche a I'autre. A titre 
d'exemple, les primitives associees a la couche de niveau deux sont du type 
is "demande de donnees" ("Data.requesf ') et "envoi de donnees" par la carte 
("Data.response"). ainsi que "confirmation de donnees" ("Data.confirm"). 



30 



etc. 



De facon plus particuliere, les couches specifiques 64 et 84 sont 
chargees du dialogue entre la carte a puce 8 et I'hote, e'est-a-dire I'enceinte 
securisee 6. Elles permettent aussi la mise en place d'une configuration 
adaptee pour remission et/ou la reception de paquets de donnees. 
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Comme il a ete indique c.-dessus, les couches comprennent trois 
entites distinctes. 

La premiere entite, les modules 640 ou 840, est essentiellement 
const.tuee par un multiplexer logiciel. Elle permet I'echange deformations 
5 entre la carte a puce 8 et le terminal hote 6, sous la forme d'unites de 
donnees de protocols Elle joue un role similaire a celui d'un commutateur 
de paquets de donnees. Ces unites sont emises ou recues via la couche de 
niveau 2 (couche de liens de donnees). Ce protocole particulier de 
communication permet de mettre en communication au moins une paire d' 
9 "agents intelligents". Le premier agent de chaque paire, 641 , est situe dans 
la couche 64, coto enceinte securisee 6, le second, 841, est situe dans la 
couche 84, cote carte a puce 8. Une liaison entre deux "agents intelligents" 
est associee a une session. Une session est un echange de donnees 
bidirectionnel entre ces deux agents. 

Un agent intelligent peut realiser tout ou partie des fonctions des 
couches de niveau trois et quatre, en fonction de la configuration mise en 
ceuvre par I'enceinte securisee 6. 

Un agent intelligent particulier est identifie avantageusement par un 
nombre entier, par exemple sur 16 bits (nombre compris entre 0 et 6535). 
Cet identificatsur est utilise, par exemple, dans une unite de donnee de 
protocole constituant une reference de destination et une reference de 
source. 

II existe deux grandes categories d'agents intelligents : les agents 
de type "serveur, qui sont identifies par une reference fixe, et les agents de 
type "client", qui sont identifies par une reference variable, delivree par le 
module de gestion de configuration, 642 ou 842. 

Le processus d'ouverture d'une session est habituelfement le 
suivant : un agent intelligent de type "client" ouvre la session vers un agent 
intelligent de type "serveur". Les modules 642 et 842 gerent des tables (non 

agents intelligents presents, cote 

hote 6 et carte a Duce 8. 
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Les agents intelligents, 641 ou 841, sont associes a des proprietes 
ou attributs particuliers. Pour fixer les idees, et a titre d'exemple non 
limitatif, les quatre proprietes suivantes sont associees aux agents 
intelligents : 

* - '"note" : agent localise dans I'enceinte securisee ; 

"carte" : agent localise dans la carte a puce ; 
"client" : agent qui initialise une session ; 
"serveur" : agent qui recoit une demande de session. 
Les agents intelligents permettent d'echanger des donnees. 
Les modules de gestion de configuration, 642 et842, 
respectivement, sont assimilables, comme il a ete indique, a des agents 
intelligents particuliers. Par exemple, le module 642, cote note 6, gere 
notamment des informations relatives a la configuration de I'enceinte 
securisee 6 (modes de fonctionnement), liste des autres agents presents, 
etc. Le module 842, cote carte a puce 8, a des fonctions analogues. Ces 
deux agents peuvent etre mis en communication Tun avec I'autre pour 
etablir une session. 

Selon une caracteristique de I'invention, la carte a puce 8 propose 
au systeme note, c'est-a-dire a I'enceinte 6, un modele de terminal virtuel. 
Pour ce faire, la carte a puce 8 se comporte comme un serveur et/ou client 
"WEB". 

De facon pratique, la carte a puce 8 est avantageusement 
"adressee" par utilisation d'une adresse "URL" definissant un rebouclage 
sur le terminal 5, et plus particulierement sur I'enceinte securisee 6. et non 
un pointage sur un serveur externe, tel le serveur 4. A titre d'exemple, la 
structure de cat "URL" est habituellement la suivante : 
http://127.0.0. 1 :808O (1 ) ou 
http.7/iocalhost:8080 (Ibis) 
dans laquelle 127.0.0.1 est I'adresse "IP" de rebouclage ("localhost" etant 
la traduction litterale de 127.0.0.1) et 8080 est le numero de port. L'adresse 
"URL" des ressources 62 et/ou 63 pourrait etre completee par un suffixe du 
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type "/xxx". Par exemple, le module de gestion 620 du clavier 62 pourralt 
avoir comme adresse "URL" la suivante : 
http://localhost:8080/kb (2) 

^architecture logique permettant des communications entre le 
5 terminal 5 proprement dit (entre les noeuds 50 et 60), c'est-a-dire les 
elements non securises de celui-ci et I'enceinte securisee 6 est similaire a 
celle representee sur la figure 4. En consequence, des sessions vont 
pouvoir etre etablies entre les noeuds de communication 50 et 60 
conformement au schema general qui vient d'etre decrit. L'enceinte 
securisee va notamment pouvoir etre adressee par une adresse "URL", 
sous le meme numero de port que la carte a puce, soit 8080 dans I'exemple 
decrit. 

Le nceud de communication 50 permet aussi au terminal 5 de 
communiquer avec le reseau Internet Rl. Aussi, outre les proprietes 
associees aux agents intelligents qui ont ete enumerees ci-dessus, il existe 
egalement les deux proprietes suivantes : 

"local" : agent ne communiquant pas avec le reseau ; 
"reseau" : agent communiquant avec le reseau ; 
Le terminal 5, en sa globalite, est adresse par la meme adresse 
"IP" que ci-dessus. II heberge au moins une application dite de terminal, 
avantageusement/le navigateur "WEB" 51. Celui-ci est associe a un port 
particulier. 

A tifra. d'exemple, par une technique de page "WEB" et 
d'hyperliens, un utilisateur (non represente) peut choisir un produit ou un 
service parmi ceux disponibles et transmettre la requete au serveur 
marchand 4. 

Outre la fonction serveur-client "WEB" offerte par la carte a puce 8, 
selon un autre aspect de Invention, il est inclus dans celle-ci un 
mecanisme similaire a la fonction dite "CGI" (pour "Common Gateway 
Interface") implantee dans les serveurs "WEB" classiques. 

Avant de decrire un exemple d'une architecture conforme a 
Invention, permettant de realiser une fonction de ce type au sein meme de 
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la carte a puce 8, ii est utile de rappeler les principals caracteristtques d'un 
mode de fonctionnement "CGI". 

Le "CGI" est une specification de mise en ceuvre, depuis un 
serveur "WEB", ^applications ecrites pour les systemes Sexploitation 
5 "UNIX" (marque deposee), "DOS", ou "WINDOWS" (marque deposee). A 
titre d'exemple, pour le systeme d'exploitatton "UNIX", la specification est 
"CGI 1.1" et pour le systeme Sexploitation "WINDOWS 95", la specification 
est "CG1 1.3". 

Toujours a titre d'exemple, une requete "HTTP" pour une 

10 adresse "URL", du type : 

"http://w^vw.host.com/cgi-bin/xxx ,, (3), 
dans laquelle "host" se refere a un systeme hote (generalement eloigne), 
est interpretee par un serveur "WEB" comme I'execution d'un script de 
commande, de type "CGI" nomme "xxx" et present dans le repertoire "cgi- 

15 bin" de ce systeme hote. Bien que le nom du repertoire puisse etre a priori 
quelconque, par convention, c'est le nom donne au repertoire stockant les 
scripts de type "CGI". Un script est une suite d' instructions du systeme 
Sexploitation du systeme hote dont le resultat final est transmis au 
navigateur "WEB" emetteur de la requete precitee ou a toute autre 

20 application sollicitant le service, comme un serveur marchand. Differents 
langages peuvent etre utilises pour ecrire ce script, par exemple le langage 
"PERL" (marque deposee). 

De fa$on pratique, la requete est habituellement affichee sur un 
ecran informatique sous la forme d'un formulaire compris dans une page 

25 "HTML". Le langage "HTML" permet de poster un formulaire a une adresse 
"URL". Le formulaire comporte un ou plusieurs champs, obligatoires ou non, 
qui sont remplis par un utilisateur a I'aide des moyens de saisie habituels : 
clavier pour le texte, souris pour les cases a cocher ou les boutons dits 
"radio", etc. Le contenu du formulaire (ainsi qu'eventuellement des 

30 informations et instructions dites "cachees") est emis a destination du 
serveur "WEB". Le code "HTML" de la page decrit la structure materielle du 
formulaire (cadre, graphisme, couleur, et tout autre attribut), ainsi que la 
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structure des champs cle donnees a saisir (nom, longueur, type de donnees, 
etc.). 

La transmission peut s'effectuer selon deux types de formats 
"HTTP" principaux. Un premier format utilise la methode dite "POST" et un 
s second la methode dite "GET". Une information de type de format est 
presente dans le code de la page formulaire. 

Ce mecanisme n'est cependant pas directement transposable a 
une carte a puce, meme si celle-ci offre la fonctionnalite serveur "WEB" 
conformement a I'une des caracteristiques de I'invention. 
10 On va maintenant decrire un exemple d'architecture permettant 

d'activer une application quelconque, de type conventionnel, via un serveur 
"WEB" sur la carte a puce, par reference a la figure 5. 

Le serveur marchand 4 active une requete "HTTP" de type "GET" a 
une adresse "URL" qui peut se presenter de la fa9on suivante : 
15 "http://@carte:8080/xxx.8080/cgi-bin/le_cgi ? paraml +param2" 

(4), 

dans laquelle "@carte" est Padresse "IP" du terminal supportant la carte a 
puce (par exemple I'adresse de rebouclage "127.0.01" de la relation (1)), 
"le-cgi" est un script "CGI" particulier a executer sur la carte a puce 8 et 

20 "paraml" et param2" des parametres a passer au script precite. La requete 
est tout d'abord transmise a I'enceinte securisee 6, via les noeuds de 
communication 50 et 60 (figure 3). 

Une session s'etablit entre le terminal et le lecteur de carte a puce. 
Ensuite une autre session s'etablit entre une paire d'agents intelligents, 641 

25 et 841 , localises dans les couches specifiques de Tenceinte securisee 6 et 
de la carte a puce 8, respectivement 64 et 84. Les donnees traversent alors 
le multiplexeur de paquets 640 de la couche protocolaire de communication 
specifique 64. Elles traversent ensuite les couches protocolaires classiques 
(voir figure 2). Cependant, pour mieux mettre en evidence certains aspects 

30 specifiques de invention, qui vont etre explicites ci-apres, ces couches sont 
divisees en deux parties sur la figure 5 : un gestionnaire d'ordres "APDU" 
65a et des couches protocolaires basses 65b (normes ISO 7816-3). 
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De meme, dans la carte a puce 8, elles traversent les couches 
protocolaires basses, references 85d, et le gestionnaire d'ordres "APDU" 
cote carte, reference 85a, puis le multiptexeur de paquets 840, pour etre 
recues par I'agent intelligent 841, que Ton appellera "agent WEB". 

II convient de remarquer que les donnees adressees a I'agent 
"WEB" 841 sont transporters, de facon conventionnelle en soi, sous formes 
d'ordres "APDU" destines a I'application particuliere "Multiplexeur de 
paquets" 840. Le gestionnaire d'ordres "APDU" 85a selectionne cette 
application de manure tout a fait similaire aux autres applications presentes 
dans la carte a puce 8, A, a A n . En d'autres termes, le multiplexeur de 
paquets 840 est vu par le gestionnaire d'ordres "APDU" 85a comme une 
application carte ordinaire. 

La requete "HTTP" est alors analysee par I'agent "WEB" 841 qui 
detecte une reference a un repertoire particulier. que Ton appellera ci-apres 
par convention "cgi-smart", d'une part, et a une application particuliere, par 
exemple A,. Le chemin complet est done, en I'occurrence, "cgi-smart/A " 

Selon une caracteristique du procede de I'invention, I'entite ci- 
dessus designe un script particulier associe a une application egalement 
particuliere. 

Selon un autre aspect de I'invention, on implante dans la carte a 
puce 8 des agents intelligents particuliers, que Ton appellera ci-apres 
"Agents traducteurs de script" ou de facon abregee "ATS". Le script est 
alors interprete par un des agents intelligents. Cette traduction peut etre 
realisee de differentes manieres : 

a/ par I'agent "WEB" 841 lui-meme, qui est dote dans ce cas d'une 
double capacite ; 

b/ par un agent script unique capable de traduire I'ensemble des scripts 
presents dans la carte a puce 8 ; 

c/ par un agent de script dedie que Ton appellera "ATSD" ci-apres (un 
30 par script) ; ou 

d/ par un ager.t "APDU" 850a du gestionnaire d'ordres "APDU" 85a, qui 
est dote, dans ce cas, d'une double capacite. 
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L'agent "APDU" 850a est une composante de la couche 
gestionnaire d'ordres "APDU" 85a. Cette derniere est une couche capable 
de centraliser tous les ordres "APDU" emis et/ou recus par le systeme, de 
selectionner des applications, parmi A i a A n , mais egalement d'offrir une 
5 interface de type agent intelligent. Elle est done capable, selon I'une des 
caracteristiques de I'invention de communiquer avec tous les agents 
intelligents (via des sessions), que ces agents soient localises dans 
I'enceinte 6 ou la carte a puce 8. 

Dans le cas cl ci-dessus, une session est ouverte entre l'agent 
10 "WEB" 841 et Tun des agents "ATSD". 

La figure 5 illustre un exemple d'architecture pour laquelle les 
agents traducteurs sont du type "ATSD". lis sont references ATS* a ATS„ et 
associes aux applications A, a A n . L'application selectionnee etant 
supposee etn^l'application A/, la session s'etablit entre l'agent "WEB" 841 et 
15 l'agent ATS r 

Un agent traducteur de script genere une suite d'ordres "APDU". 
Une session est ouverte entre l'agent traducteur, par exemple l'agent ATS,-, 
et l'agent "APDU" 850a. Les ordres sont alors emis vers l'agent 
"APDU" 850a. Le gestionnaire d'ordres "APDU" 85a selectionne 
20 l'application "CGA" A, et lui transmet les ordres "APDU", ordres traduits et 
done conventionnels, qu'elle est en mesure de comprendre. Cette 
application est done correctement activee, sans avoir a la modifier ou a la 
reecrire. 

Les raponses de l'application A, sont transmises au gestionnaire 
5 d'ordres "APDU" 85a, a l'agent "APDU" 850a, puis de nouveau a l'agent 
ATS, (et de facon plus generate a l'agent traducteur de script). 

Les differents cheminements sont representes symboliquement sur 
la figure 5 par des traits pleins reliant les blocs fonctionnels, ou en pointilles 
a I'interieur de ces blocs. 
> Pour fixer les idees et sans que cela soit limitatif de la portee de la 

presente invention, la technique d'adressage etant desormais definie dans 
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sa generality on va maintenant detainer ci-dessous divers routages 
possibles, que Ton appellera cas d'utilisation et que I'on referencera CU-n : 
CU-1 : communication entre le serveur marchand 4 et la carte a 

puce 8. 

* Pour ce faire, une adresse "URL" conforme a (1 ) est utilisee. Dans 

ce cas. ,l n'est pas necessaire d'utiliser le clavier 62. La requete, transmise 
v,a le reseau Internet Rl, arrive sur le nceud de communication 50. Celui-ci 
.dentifie le port associe a la carte a puce, c'est-a-dire le port 8080 qui est le 
meme que celui de I'enceinte securisee 6. Le nceud de communication 50 
10 achemine la requete vers le nceud de communication 60. Dans tous les cas 
quelle que soit radresse "URL", ce dernier achemine le paquet de donnees 
recues vers la carte a puce 8, et plus precisement vers le serveur "HTTP" 
carte a puce 81, via le nceud de communication 80. En dernier lieu celui-ci 
active rune des applications de la carte a puce 8, par exemple Implication 



15 A 



<0 



CU-2 : communication entre deux applications de la carte a puce 8 
Par exemple. ('application A, veut communiquer avec I'application 
A, La requete emanant de I'application A, est acheminee par le serveur 
"HTTP" 81. De facon pratique, une session s'etablit entre une paire 
d'agents inteIHgents locaux a la carte a puce 8, selon le schema qui a ete 
explicite en regard de la figure 4. Le nceud de communication 80 rrentre pas 
en jeu. II n'y a pas d'adaptation de protocole de communication a prevoir. 

CU-3 : communication entre une application carte et I'application 
marchande 41 dans le serveur 4. 

Ce cas peut se produire. notamment, lorsque la carte a puce 8 a 
recu une requete du serveur marchand 4 (cas CU-1). Une application locale 
* la carte a puce 8, par exemple Tapplication A,, peut etre activee Une 
act,on determinee, commandee par la requete recue, est alors realisee a 
Tinterieur de la carte a puce, par exemple une action de type "CGI" par 
execution d'un script ou tout processus equivalent. Cette action est realisee 
sous la commande cragents intelligents traducteurs de script, comme il a ete 
explicite en regard de la figure 5. 
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En resultat, 1'application A A pose une requete destinee au serveur 
4. Apres examen de I'adresse "IP", le serveur "HTTP" 81 oriente la requete 
vers le noeud de communication 80. II s'etablit une session entre la carte a 
puce 8 et I'enceinte securisee 6, plus precisement entre les nceuds de 
5 communication 60 et 80, selon le schema qui a ete decrit en regard de la 
figure 4. De meme, le noeud de communication 60, apres examen de 
I'adresse "IP", transmet la requete au noeud de communication 50. Ce 
dernier, apres examen de I'adresse "IP", transmet a son tour la requete, via 
le reseau Internet Rf, vers sa destination finale, c'est-a-dire vers le serveur 
10 4. 

Le processus peut comporter plusieurs aller et retour entre la carte 
a puce 8 et le serveur 4, pendant le temps d'une transaction. Lorsque le 
processus est termine (fin du "CGI" par exemple), la reponse de la carte a 
puce est transmise au serveur marchand 4, via notamment les nceuds 
15 successifs de communication 80, 60 et 50. 

CU-4 : communication entre une "application carte" et une 
"application terminal". 

A titre d'exemple, I'application /i, veut par exemple communiquer 
avec un gestionnaire d'impression (non represents) du terminal et pose une 
requete en ce sens. Apres examen de I'adresse "IP" et du numero de port, 
le serveur "HTTP" 81 oriente la requete vers le noeud de communication 80. 
La requete suit alors le meme chemin que dans le cas CU-3, jusqu'a ce 
qu'elle atteigne le noeud de communication 50. Ce dernier, apres examen 
de I'adresse "IP" et du numero de port, oriente la requete vers I'application 
25 terminal adressee, par exemple le gestionnaire d'impression. 

CU-5. : communication entre une "application carte" et une 
ressource de I'enceinte securisee. 

On suppose tout cfabord, dans ce cas d'utilisation, que la carte a 
puce 8 est en mode "esclave" par rapport au serveur marchand 4 et que 
celui-ci a emis une requete a destination de la carte a puce 8. Cette requete 
est traitee de la facon explicitee par les cas CU-1 et CU-3. II s'execute par 
exemple un "CGI marchand" a I'interieur de la carte a puce 8, de la maniere 
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qui a ete decrite en regard de la figure 5. Ce script s'execute en activant 
I'une des applications, par exemple A,-, a I'aide d'un des agents traducteurs 
de script, par exemple ATS, On suppose que le CGI marchand a besoin 
deformations en provenance du clavier 62 (mot de passe par exemple) ou 
s d'autres informations d'authentification (en provenance d'un dispositif 
biometrique constituant I'une des ressources 63). Le CGI en question doit 
etre execute avec un adressage "URL" particulier. L'application A, emet une 
requete dont I'adresse est par exemple celle donnee par (2) ci-dessus. La 
presence du suffixe "/Kb" indique au nceud de communication 60 qu'il faut 
' ^boucler la requete vers le serveur "HTTP" 61 qui a son tour active le 
gestionnaire 620 de clavier 62, et recupere les informations attendues 
(saisie d'un mot de passe par exemple). La reponse de la requete est 
transmise, par le meme chemin, mais en sens inverse vers la carte a puce 
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La reponse de la requete du serveur marchand 4 est alors 
retransmise a celui-ci. Un dialogue a plusieurs temps peut s'instaurer de 
maniere similaire au cas CU-3. 

Plusieurs CGI peuvent etre executes pendant le temps d'une 
transaction. 

Pour fixer les idees, un premier "CGI marchand" peut avoir pour 
resultat I'affichage sur un ecran compris dans I'enceinte securisee 6 (I'une 
des ressources representees sous la reference unique 63) d'un message 
invitant un ut.lisateur a composer un code et affichant un montant. Un 
deuxieme CGI lit par exemple des informations transmises par le clavier 62 
Un troisieme CGI peut avoir pour resultat sur ce meme organe de 
visualisation d'un message du type "CODE CORRECT" ou tout message 
similaire. 

CU-6 : communication entre le terminal et une des ressources de 
I'enceinte securisee. 

A titre d'exemple, une application du terminal 5 (dans sa partie non 
securisee), par exemple le navigateur "WEB" 51, desire communiquer avec 
I'une des ressources securisees, par exemple avec le clavier 62, et emet 
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une requete en ce sens. Le nceud de communication 50 examine I'adresse 
"URL", identifie le numero de port de I'enceinte securisee 6 et transmet la 
requete a celle-ci. Le nceud de communication 60, du fait de sa 
programmation, oriente systematiquement les requetes recues, meme si 
5 elles sont destinees a I'une des ressources internes a i'enceinte securisee 
6, vers la carte a puce 8. A partir de ce stade, la requete suit un chemin 
similaire au cas CU-1. C'est la carte a puce 8 qui determine s'il y lieu de 
retransmettre !a requete vers la ressource securisee initialement adressee, 
§ventueilemeht en la modifiant. La decision peuf etre le resultat d'une 
10 procedure ^identification mettant en jeu fexamen de donnees de securite 
enregistrees dans la carte a puce, notamment dans une memoire de type a 
lecture seule, eventuellement sous forme chiffree. Comme dans le cas CU- 
4, un element externe a I'enceinte securisee 6 n'a done jamais acces 
directement aux ressources securisees. 
is Cette derniere caracteristique permet des mises a jour de logiciels 

residents dans I'enceinte securisee 6. des ajouts de logiciels ou des 
suppressions, au moins partielles, de ces logiciels, de facon plus fiable que 
dans I'art connu. En effet, il est d'usage d'authentifier des modifications de 
cette nature a partir d'une cle enfouie dans le iogiciel de I'enceinte 
20 securisee 6. 

Puisque seule la carte a puce 8 peut acceder de I'exterieur aux 
ressources protegees de I'enceinte securisee 6, le telechargement de 
ressources logicielles peut done s'effectuer a partir d'un serveur Internet, 
par I'intermediaire de la carte a puce, tout en conservant un tres grand 
degre de securite. II suffit que les donnees telechargees, si elles sont 
sensibles, soient convenablement chiffrees, en faisant usage d'un 
algorithme robuste et/ou d'une cle de chiffrage suffisamment longue. Du fait 
de la fonction d'intermediaire jouee par la carte a puce 8, le mecanisme mis 
en ceuvre dans I'invention est a priori plus fort que celui d'un simple 
enfouissement de cle dans un organe de memoire (non represente) de 
I'enceinte securisee 6. 
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On peut egalement modifier le content! des ressources logicielles 
de Tenceinte securisee 6 directement a partir d'une carte a puce 8, en 
telechargeant des pieces de logiciel enregistrees dans celle-ci. Le volume 
de logiciel ainsi telacharge est cependant limite par les ressources propres 
5 de la carte a puco (capacite de memoire), ce qui n'est pas le cas a priori 
d'un telechargement par reseau Internet a partir d'un serveur "WEB", le 
serveur pouvant etre dote de ressources informatiques importantes. Le 
temps de telechargement est naturellement dependant de la quantite de 
logiciel a telecharger, mais I'utilisation de modems rapides et/ou de lignes 
o de communication a haut debit est de nature a maintenir ce temps dans des 
limites tout a fait raisonnables pour les applications envisagees. 

A la lecture de ce qui precede, on constate aisement que I'invention 
atteint bien les buts qu'elle s'est fixes. 

Elle permet notamment, tout en conservant la possibilite d'utiliser 
> des composants.classiques et des modes de communication normalises, 
notamment entre I'enceinte securisee et la carte a puce, via le lecteur, un 
adressage et des communications compatibles avec le protocole Internet 
"HTTP". Elle transforme la carte a puce en serveur-client "WEB", capable 
d'effectuer des operations de type "CGI". Elle permet notamment un 
adressage direct et interact.? de la carte a puce, a partir d'un serveur 
"WEB", via le reseau Internet, ou en sens contraire. Elle ne necessite 
aucune application specifique marchande sur le terminal lui-meme et sur 
Tenceinte securisee. Elle offre une tres grande souplesse et s'adapte 
aisement a de nombreux domaines d'application. Elle n'entrame que des 
modifications mineures des composants utilises, modifications qui se 
resument essentiellement a 1'implantation de pieces de logiciel specifiques, 
etant entendu que le mot "specifique" n'indique pas une dependance vis-a- 
vis des applications traitees. Notamment les applications residentes dans la 
carte a puce restent des applications standards et ne necessitent aucune 
reecriture. En outre, les applications specifiques, d'un point de vue 
"application marchandes" sont entierement localisees dans le serveur 
"WEB" eloigne. Ce dernier peut en contenir une pluralite. La mise a jour, la 
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suppression de ces applications, ainsi que I'ajout de nouvelles applications, 
sont de ce fait aises. Cette caracteristique offre une grande flexibility La 
version des programmes est identique pour tous les terminaux qui se 
connectent sur le serveur. Enfin, la securite assuree par I'invention est tres 
5 grande. On peut faire appel a des algorithmes de chiffrage robustes et des 
cles de grande longueur pour les communications sur le reseau Internet. En 
outre, selon une caracteristique de I'invention, toutes les requetes 
provenant de I'exterieur de I'enceinte securisee, que ce soit de la partie non 
securisee du terminal ou directement du reseau Internet, doivent 
9 obligatoirement passer par la carte a puce et restent sous son controle 
exclusif. Celle-ci decide seule, en fonction, par exemple, de donnees de 
securite residentes, de I'usage qui doit etre fait de ces requetes. Or la carte 
a puce reste la propriete du porteur. 

II doit etre clair cependant que I'invention n'est pas limitee aux 
seuls exemples de realisations explicitement decrits, notamment en relation 
avec les figures 3 a 5. 

Dans un mode de realisation (non represents) I'enceinte securisee 
pourrait ne contenir qu'un lecteur de carte a puce, la ou les application(s) 
enregistree(s) dans la carte a puce etant autosuffisante(s) pour authentifier 
le porteur et/ou permettre une transaction entre le serveur "WEB" eloigne et 
la carte a puce. Le clavier peut etre omis et remplace par I'une des 
ressources securisees, tel qu'un dispositif biometrique. Enfin, on peut 
adjoindre au premier lecteur de carte a puce un deuxieme lecteur de carte a 
puce, voire plusieurs. 
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REVENDICATIONS 



1. Terminal muni d'une enceinte securisee destinee a communiquer avec 
au moins un serveur de type 'WEB", via un reseau de type Internet, 
selon un premier protocole de communication de type Internet, ladite 
enceinte securisee comprenant au moins un lecteur de carte a puce, 
5 ladite carte a puce stockant au moins une application logicielle, 

caracterise en ce que ledit terminal (5) comprend une partie non 
securisee comprenant au moins un premier module dit premier noeud de 
communication (50), ladite enceinte securisee (6) comprend au moins un 
deuxieme module dit deuxieme noeud de communication (60) et ladite 

10 carte a puce (8) comprend au moins un troisieme module dit troisieme 

noeud de communication (80), en ce que lesdits noeuds de 
communication (50, 60, 80) comprennent des premiere, deuxieme et 
troisieme piles protocolaires, respectivement, comprenant chacune un 
nombre determine de couches logicielles de communication dites 

15 standards et des premiere, deuxieme et troisieme pieces de logiciel 

specifique (64, 84), respectivement, comprenant chacune au moins une 
premiere entite logicielle (641, 841), lesdites premieres entites logicielles 
etant appariees deux a deux, en ce que ledit premier noeud (50) autorise 
au moins des communications entre ledit terminal (5) et ledit serveur 

20 "WEB" (4), selon ledit premier protocole de communication de type 

Internet, en ce que lesdites premieres entites desdites premiere et 
deuxieme pieces de logiciel specifique autorisent retablissement d'une 
session d'echanges de donnees bilateraux entre ledit terminal (5) et la 
dite enceinte securisee (6), selon un deuxieme protocole de 

25 communication determine, en ce que lesdites premieres entites (641, 

841) desdites deuxieme (64) et troisieme (84) pieces de logiciel 
specifique autorisent au moins retablissement d'une session d'echanges 
de donnees bilateraux entre la dite enceinte securisee (6) et ladite carte 
a puce (8), via ledit lecteur de carte a puce, selon un troisieme protocole 
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de communication determine, de maniere a pouvoir mettre en relation au 
moins une desdites applications logicielles (A^A n ) de la carte a puce (8) 
avec (edit serveur de type "WEB" (4). 

2. Terminal selon la revendication 1, caracterise en ce que lesdites 
premieres entites appariees sont constitutes de modules logiciels, dits 
agents intelligents (641, 841), etablissant lesdites sessions. 

3. Terminal selon la revendication 1, caracterise en ce qu'il comprend, 
dans ladite partie non securisee, au moins une application constitute par 
un navigateur de type "WEB" (51), en ce que ledit premier protocole de 
type Internet est le protocole "HTTP/TCP-IP" comporte un adressage de 
type dit "URL", comprenant un element d'adresse Internet dite "IP" et un 
numero de port, pour la selection dudit terminal (5) et d'un element 
interne a ce terminal (5), en ce que ladite premiere entite de ladite piece 
de logiciel specifique dudit premier nceud de communication (50) identifie 
ledit element d'adresse "IP" et ledit numero de port, en ce que, en 
resultat de ladite identification, des donnees regues dudit serveur de type 
"WEB" (4) sont aiguillees vers ledit navigateur de type "WEB" (51), selon 
ledit premier protocole de type Internet, ou traduites et transmises vers 
ledit deuxieme nceud de communication (60), selon ledit deuxieme 
protocole de communication determine, dans un premier sens de 
transmission de donnees, et en ce que sur ladite identification, des 
donnees revues du deuxieme nceud de communication (60), sont 
aiguillees vers ledit navigateur de type "WEB" (51) ou vers ledit serveur 
de type "WEB" (4), selon ledit premier protocole de type Internet, dans un 
second sens de transmission de donnees. 

4. Terminal selon la revendication 3, caracterise en ce que ladite 
enceinte securisee (6) comprend en outre au moins un clavier de saisie 
de donnees (62) et au moins un serveur "HTTP" dit d'enceinte (61) 
dispose entre ledit clavier (62) et le dit deuxieme noeud de 
communication (60), en ce que ladite premiere entite (641) de ladite 
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piece de logiciel specifique (64) dudit deuxieme noeud de communication 
(60) identifie ledit element d'adresse "IP" et ledit numero de port, en ce 
que des donnees recues dudit premier nceud de communication (50) sont 
traduites et toujours transmises vers ledit troisieme nceud de 
5 communication (80), selon ledit troisieme protocole de communication 

determine, dans un premier sens de transmission de donnees, et en ce 
que sur ladite identification, des donnees recues du troisieme nceud de 
communication (80), sont aiguillees vers ledit serveur "HTTP" (61) ou 
traduites et transmises vers ledit premier nceud de communication (50) 
o selon ledit deuxieme protocole determine, dans un second sens de 

transmission de donnees. 

5. Terminal selon la revendication 4, caracterise en ce que ladite enceinte 
securisee comprend au moins une ressource informatique 
supplemental (63) connects audit serveur "HTTP" (61) de I'enceinte 
securisee (6), et en ce que ladite adresse de type "URL" comprenant un 
element supplemental, ledit serveur "HTTP" (61) selectionne sur 
identification dudit element d'adresse supplemental, ledit clavier (62) 
ou I'une desdites ressources informatiques supplemental (63). 

6. Terminal selon la revendication 5. caracterise en ce que ladite 
ressource informatique supplemental (63) est un dispositif 
d'authentification biometrique. 

7. Terminal selon la revendication 4. caracterise en ce que ladite carte a 
puce stocke plusieurs applications logicielles (A,-A n ), en ce qu'elle 
comprend un serveur "HTTP" dit de carte (81) dispose entre lesdites 
applications logicielles (A<-A n ) et ledit troisieme nceud (80). et en ce que 
ledit serveur "HTTP" de carte (81) active selectivement au moins Tune 
desdites applications logicielles (A,-A n ) sur reception d'une requete en 
provenance dudit deuxieme nceud (60) ou transmet les requetes emises 
par lesdites applications ( Al -A n ) vers ledit troisieme nceud de 
communication (80). 
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8. Terminal selon la revendication 7, caracterise en ce que ladlte carte a 
puce (8) comprend en outre une deuxieme entite logicielle (ATS.-ATS,) 
apte a interpreter une suite ^instructions vehiculees par lesdites 
donnees recues dudit troisieme nceud de communication (80). et a la 
5 traduire en une suite d'ordres, ladite deuxieme entite logicielle (ATS,- 

ATS,) cooperant avec lesdites applications logicielles (A,-A n ) et ladite 
piece de logicielle specifique (84) dudit troisieme nceud de 
communication (80), ladite suite ^instructions traduite etant associee a 
une desdites applications logicielles a activer (A,-A n ) de ladite carte a 
10 puce (8). 

9. Terminal selon la revendication 8, caracterise en ce que ladite suite 
destructions a interpreter etant constitute par un script, chacune 
desdites deuxiemes entites logicielles est constituee par un module 
logiciel dit agent intelligent traducteur de script (ATS^ATS/). 

10. Terminal selon la revendication 1. caracterise en ce que ledit serveur 
de type "WEB" (40) stocke une application logicielle dite marchande (41) 
destinee a etre mise en communication interactive avec au moins I'une 
desdites applications logicielles {A*-A n ) de ladite carte a puce (8) au 
travers desdits premier (50), deuxieme (60) et troisieme nceuds (80) de 

20 communication. 
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